Microsoft Purview 감사 로그 시작하기

By Mirko Peters · 2026-08-28

팟캐스트 컴패니언 블로그에 다시 오신 것을 환영합니다! 오늘 포스트에서는 클라우드 환경에서 사용자 작업을 추적하고 검토하는 기본 원리를 깊이 있게 다룹니다. 테넌트를 보호하고, 보안 사고를 조사하고, 규제 준수를 엄격하게 유지하려면…

Automatically translated with AI from the original post. Read the English original

Titelbild: Getting Started with Microsoft Purview Audit Logs

팟캐스트 컴패니언 블로그에 다시 오신 것을 환영합니다! 오늘 포스트에서는 클라우드 환경 안에서 사용자 작업을 추적하고 검토하는 기본 원리를 깊이 있게 다룹니다. 테넌트를 보안하고, 잠재적인 보안 사고를 조사하고, 엄격한 규제 준수를 보장하려면 통합 감사 로그(Unified Audit Log)를 이해하는 것이 반드시 필요합니다. 이 주제에 대한 전체 오디오 내용과 저희의 전체 논의를 들으시려면 관련 팟캐스트 에피소드 Audit Microsoft 365 User Activity with Purview를 꼭 확인해 보시기 바랍니다.

조직이 워크로드를 클라우드로 점점 더 많이 옮기면서 사용자와 관리자 활동을 파악하는 일은 훨씬 복잡해집니다. 체계적인 감사 전략이 없다면 내부와 외부의 보안 위협에 사실상 눈을 감고 대응하는 셈입니다. 이 가이드에서는 환경을 점검하고, 적절한 거버넌스 역할을 할당하며, Microsoft Purview 포털에서 실행 가능한 인사이트를 추출하는 데 필요한 구조적 단계를 차례대로 설명합니다.

Microsoft Purview 감사 로그 소개

클라우드 생태계 전반에서 사용자와 관리자의 작업을 모니터링하는 것은 현대 사이버 보안 태세의 핵심 요소입니다. Microsoft Purview는 테넌트에서 규정 준수, 거버넌스, 감사를 담당하는 중앙 허브 역할을 합니다. Exchange Online, SharePoint, OneDrive, Microsoft Teams, Microsoft Entra ID의 활동 기록을 하나의 검색 가능한 저장소로 통합합니다.

이러한 감사 레코드를 활용하는 방법을 이해하면 관리자는 보안 조사 중 시간 순서를 재구성하고, 승인되지 않은 구성 변경을 찾아내며, HIPAA, GDPR, PCI DSS 같은 엄격한 규정 준수 프레임워크를 충족할 수 있습니다. 단순한 사용자 로그인을 추적하든 파일 공유 링크를 통한 복잡한 데이터 유출 패턴을 추적하든, Purview는 보안을 유지하는 데 필요한 심층 텔레메트리를 제공합니다.

감사 사전 요구 사항: 권한과 역할

권한과 역할

보안 이상 징후를 찾거나 규정 준수 보고서를 추출하기 전에, 적절한 관리 경계와 역할 기반 액세스 제어(RBAC)가 설정되어 있는지 확인해야 합니다. 모든 관리자에게 원시 감사 데이터에 대한 전체 액세스 권한이 필요한 것은 아닙니다. 여기서 최소 권한 원칙을 적용하면 민감한 기업 텔레메트리를 보호할 수 있습니다.

역할/권한	설명
Audit Reader	구성을 변경하거나 관리 작업을 수행할 권한 없이 감사 로그를 볼 수 있습니다.
Audit Administrator	감사 설정, 로그 보존 정책, 로그 구성을 포괄적으로 관리할 수 있습니다.

Microsoft Entra 관리 센터 또는 Purview 규정 준수 포털에서 이러한 역할을 할당하면 규정 준수 담당자와 보안 분석가가 업무를 효율적으로 수행하는 데 필요한 정확한 권한을 갖게 됩니다.

감사 로깅 사용

최신 Microsoft 365 구독 대부분에는 표준 감사 기능이 기본적으로 사용하도록 설정되어 있지만, 테넌트의 감사 상태를 확인하는 것은 항상 필수적인 첫 단계입니다. 감사가 비활성화되어 있으면 보안 사고 이전의 사용자 작업에 대한 과거 기록이 전혀 남지 않습니다.

원하는 로깅 수준을 지원하려면 조직이 올바른 구독 수준(예: Microsoft 365 E3 또는 E5)을 보유하고 있는지 확인하십시오.
Exchange Online PowerShell 명령을 사용하거나 Purview 포털을 확인하여 통합 감사 로그가 활성 상태인지 확인하십시오.
지정된 보안 담당자에게 필요한 Audit Reader 또는 Audit Administrator 역할을 할당하십시오.
기업에서 로그를 장기간 보존하고 가치가 높은 이벤트를 수집해야 한다면 Microsoft Purview Audit (Premium)과 같은 고급 기능을 구성하십시오.
복잡한 테넌트 마이그레이션이나 관리 인수인계 중에 감사 상태가 의도치 않게 꺼지지 않도록 지속적인 확인 절차를 마련하십시오.

Purview 포털에서 감사 로그 액세스하기

Purview 포털 탐색하기

권한이 확정되고 감사가 활성 상태임을 확인했다면, 규정 준수 인터페이스에서 핵심 검색 도구에 액세스할 수 있습니다. Microsoft Purview 규정 준수 포털에 로그인하여 왼쪽 탐색 창을 찾은 다음 감사 솔루션을 선택하십시오. 그다음 검색을 클릭하여 매개 변수 작성기를 여십시오.

환경에서 이벤트가 발생하면, 해당 텔레메트리가 완전히 수집되고 인덱싱되어 포털 검색 도구에서 조회할 수 있게 되기까지 보통 15분에서 60분이 걸린다는 점을 기억하십시오. 실시간 사고 대응에서는 인내심이 무엇보다 중요합니다.

로그 필터링 및 내보내기

엔터프라이즈 환경은 매일 수백만 건의 텔레메트리 레코드를 생성하므로 수동으로 스크롤하며 살펴보는 것은 불가능합니다. Purview는 조사를 효과적으로 좁힐 수 있도록 세분화된 필터링 도구를 제공합니다.

날짜 및 시간 범위(UTC): 조사할 정확한 기간을 지정할 수 있으며, 기본 검색 기간은 최대 180일이라는 점에 유의하십시오.
키워드: 기본 JSON 페이로드 내에서 특정 문자열을 검색합니다.
활동(친숙한 이름): 백엔드 메서드 이름 대신 사람이 읽기 쉬운 작업을 선택합니다.
레코드 유형: SharePoint 파일 다운로드나 Exchange 사서함 액세스처럼 특정 서비스로 검색 범위를 좁힙니다.

오프라인에서 심층 분석이 필요한 경우 검색 결과를 쉼표로 구분된 값(.csv) 형식으로 내보낼 수 있습니다. 이 내보내기 파일의 AuditData 열에는 자세한 이벤트 정보가 구조화된 JSON 객체로 담겨 있으며, Excel Power Query나 외부 SIEM 파이프라인과 같은 도구로 파싱할 수 있습니다.

감사 로그 이해 및 분석

원시 감사 항목은 클라이언트 IP 주소, 사용자 에이전트, 대상 항목 ID, 명시적인 작업 세부 정보 같은 상황 데이터를 담은 풍부한 JSON 문서입니다. 이러한 로그를 해석하면 보안 팀이 정상적인 사용자 행동과 악의적인 내부 위협을 구분할 수 있습니다.

범주	기록되는 일반 사용자 활동
SharePoint 및 OneDrive	파일 및 폴더 액세스, 수정, 다운로드, 외부 공유 및 복원.
Microsoft Entra ID	침해된 로그인 탐지, 위험한 사용자 행동, 비밀번호 재설정 작업.
애플리케이션 관리	서비스 주체 생성, 자격 증명 업데이트 및 API 권한 부여.
Exchange Online	소유자가 아닌 사용자의 사서함 액세스, 메시지 전달 규칙 생성 및 위임 변경.

이러한 활동 범주를 살펴보면 보안 운영 센터(SOC)는 치명적인 데이터 유출로 이어지기 훨씬 전에 데이터 유출 징후, 구성 드리프트 또는 권한 상승의 미묘한 패턴을 포착할 수 있습니다.

감사 모범 사례: 일정 수립 및 규정 준수

안전한 환경을 유지하려면 로그를 사후에 검토하는 것보다 사전 예방적인 거버넌스가 필요합니다. 특권 계정을 감사하고, 관리 그룹 멤버십 변경 사항을 검토하며, 자동 경고 정책을 테스트하는 정기 일정을 수립하십시오.

Microsoft Graph Activity API 또는 Azure Event Hubs를 통해 Purview 감사 텔레메트리를 외부 SIEM(Security Information and Event Management) 시스템과 통합하면 엔터프라이즈가 대응을 자동화할 수 있습니다. 예를 들어 감사 이벤트가 대량 파일 삭제 경고를 발생시키면, 연결된 Logic App이 사용자 세션을 자동으로 취소하거나 다단계 인증 재설정을 적용할 수 있습니다.

아울러 강력한 개인정보 보호 통제를 적용하십시오. 로그 보존 정책이 법적 및 규제 준수 요건과 조직의 데이터 개인정보 보호 기준 사이에서 균형을 이루도록 하고, 필요한 경우 자동 삭제 및 가명 처리 같은 도구를 활용하십시오.

액세스 및 로그 완전성 문제 해결

관리자는 로그를 조회하거나 텔레메트리 적용 범위를 확인할 때 종종 어려움에 부딪힙니다. 누락된 레코드나 액세스 차단이 발생하면 다음의 체계적인 문제 해결 체크리스트를 따르십시오.

테넌트 감사 확인: PowerShell 검증 스크립트를 실행하여 감사가 중단되지 않았는지 확인합니다.
RBAC 할당 검증: 사용자 계정에 올바른 Audit Reader 또는 규정 준수 관리 역할이 있는지 확인합니다.
수집 지연 확인: 일시적인 백엔드 수집 대기열로 인해 실시간 검색에 잠깐씩 공백이 생seoul 수 있다는 점을 기억하십시오.
진단 설정 검토: 데이터 내보내기 파이프라인과 진단 프로필이 의도한 모든 워크로드 이벤트를 캡처하도록 올바르게 매핑되었는지 확인합니다.

문제가 계속되면 공식 Microsoft 문제 해결 문서를 참조하거나, PowerShell로 대상 프로그래밍 쿼리를 실행하여 누락된 레코드 집합을 분리해 보십시오.

결론

Microsoft Purview 감사 로그 생태계를 익히는 것은 Microsoft 365 환경의 보안을 강화하려는 모든 클라우드 관리자와 보안 전문가에게 필수적인 여정입니다. 기본 권한을 이해하고 통합 로깅을 활성화하는 것부터 복잡한 JSON 내보내기와 SIEM 통합을 능숙하게 다루기까지, 사용자 활동을 추적하는 역량이 조직의 전반적인 보안 성숙도를 직접적으로 좌우합니다.

사용자 모니터링에 관한 실제 현장 시나리오를 더 자세히 알고 싶으시다면, 저희의 완성된 연계 에피소드 Audit Microsoft 365 User Activity with Purview도 꼭 들어 보시기 바랍니다. 오늘 이러한 엄격한 감사 실무를 도입하시면 내일도 기업 자산을 보호하고 흔들림 없는 규정 준수를 유지하실 수 있습니다.